skyticket（アドベンチャー）に不正アクセス｜約1,464万件の個人情報と最大6,140人分のカード情報が流出

アドベンチャー（skyticket）が公表した内容

株式会社アドベンチャーは、同社が運営する総合旅行予約サイト「skyticket（スカイチケット）」において第三者による不正アクセスが発生し、最大約1,464万件の顧客情報および最大6,140人分のクレジットカード情報等が外部へ流出したことを公表しました。

2026年10月9日の第1報では「クレジットカード情報は保有しておらず流出していない」と発表されていましたが、その後の詳細調査により、過去の決済方法変更履歴（ログ）がサーバー内に残存しており、そこから最大6,140人分のカード情報が流出していたことが判明し、10月16日の第2報で訂正・追加発表が行われました。

公式発表（第1報・第2報）に基づく事案の全体像は次のとおりです。

項目	公表内容
対象サービス	総合旅行予約サイト「skyticket（スカイチケット）」
運営会社	株式会社アドベンチャー
第1報の公表日	2026年10月9日
第2報（訂正・追加）の公表日	2026年10月16日
顧客情報の流出規模	最大約1,464万件（うちログインパスワードを含むもの約413万件）
クレジットカード情報の流出規模	最大6,140人分（2017年2月〜2018年6月のskyticketプレミアム決済ログ）
その他の対象事案	業務管理システムへの不正アクセス（約17,780件）、バス予約情報の閲覧不備（約12,000件）

複数の異なる経路・事象が確認されており、特に過去ログからのカード情報流出が追加で判明した点が重要なポイントです。

流出した情報と対象範囲の内訳

公式発表では、発生した事象ごとに対象期間と流出した情報（または流出のおそれがある情報）が整理されています。

事象・区分	対象件数・期間	流出した情報（またはおそれがある情報）
① 自社サーバーへの不正アクセス（2026年10月2日〜4日発生）	最大約1,464万件（うち約413万件はパスワード含む）	氏名、生年月日、性別、メールアドレス、電話番号、住所、暗号化・ハッシュ化されたログインパスワードなど
② 過去の決済ログからのカード情報流出（第2報で追加・2026年10月3日取得）	最大6,140人分（2017年2月〜2018年6月に「skyticket プレミアム」会費支払いでカード登録・利用した顧客）	クレジットカード番号、カード名義人名、有効期限（※セキュリティコードは含まれない）
③ 外部福利厚生サービス連携情報の流出（第2報で追加）	skyticketプレミアム関連	「ベネフィット・ステーション」利用のための会員ID、氏名、パスワード（復号に必要な情報も同時取得された可能性）
④ 業務管理システムの脆弱性を突いた不正アクセス（2026年9月20日発生）	約17,780件	予約情報や顧客連絡先などの一部
⑤ バス予約情報の閲覧不備（2026年8月3日〜10月1日発生）	約12,000件	高速バス予約に関する氏名、電話番号、乗降車地などの予約情報

利用した時期やサービス（通常の旅行予約か、有料会員サービス「skyticket プレミアム」か等）によって、影響を受ける情報の範囲が異なります。

なぜ「カード非保持」でも過去のログからカード情報が流出したのか

第1報で「クレジットカード情報の流出はない」と説明されていたものが第2報で訂正された背景について、アドベンチャー社は次のように説明しています。

現在、skyticketでは決済代行会社がクレジットカード情報を管理する仕組み（非保持化）を採用しており、本番データベース上にはカード番号を保存していませんでした。

しかし、決済代行会社への移行を完了する前（2018年6月以前）に自社サーバーで処理していた当時の「skyticket プレミアム」会費支払いに関するカード変更履歴（ログ）が削除されずにサーバー内に残存していました。2026年10月2日〜4日の不正アクセスにおいて、攻撃者がこの残存ログを10月3日に取得していたことが事後の精査で判明しました。

なお、セキュリティコード（CVV/CVC）は当該ログにも含まれていません。

不正アクセスの発生から第1報・第2報までの経緯

一連の事案の発生から公表・訂正までの時系列は以下のとおりです。

日付	公表内容
2026年8月3日〜10月1日	バス予約情報の一部が第三者から閲覧可能な状態となっていた事象が発生
2026年9月20日	業務管理システムの脆弱性を突いた不正アクセスが発生
2026年10月2日〜10月4日	自社サーバーへの不正アクセスが発生（10月3日に残存決済ログ等も取得される）
2026年10月9日	第1報を公表。最大約1,464万件の顧客情報流出を発表（この時点ではカード情報の流出は否定）
2026年10月16日	第2報を公表。2017年2月〜2018年6月の残存ログから最大6,140人分のクレジットカード情報およびベネフィット・ステーション認証情報が流出していたことを訂正・発表

同社は不正アクセスに悪用された経路の遮断や脆弱性の修正を実施し、個人情報保護委員会への報告、警察への相談、クレジットカード会社との連携による取引モニタリング強化を進めています。

skyticket利用者が確認したい対応

アドベンチャー社は対象となる利用者へ順次メールで案内を送っています。過去にskyticketを利用したことがある方は、次の対応を確認してください。

1. クレジットカードの利用明細を確認する（2017年〜2018年のプレミアム会員）

2017年2月から2018年6月の間に「skyticket プレミアム」の会費支払いにクレジットカードを登録・利用した方は、カード番号・名義・有効期限が流出した対象に含まれる可能性があります。有効期限が更新されている場合でもカード番号自体は同一のケースがあるため、カード明細に身に覚えのない請求がないか確認し、不審な点があればカード裏面記載のカード会社へ連絡してください。

2. skyticketおよび使い回しパスワードを変更する

skyticketのログインパスワード（約413万件）や、「ベネフィット・ステーション」連携用のパスワードが流出した可能性があります。skyticketのパスワードを変更するとともに、他のWebサービスで同じID・パスワードを使い回している場合は速やかに別のパスワードへ変更してください。

3. skyticketを装うフィッシングメール・SMSに警戒する

約1,464万件の氏名、メールアドレス、電話番号、住所などが流出しているため、予約確認や返金手続き、カード情報の再登録を装った巧妙なフィッシングメール・SMSが届く恐れがあります。メール内のリンクは開かず、公式サイトから直接アクセスしてください。

本件に関するskyticketの専用問い合わせ窓口は、info@skyticket.com（受付時間：毎日10:00〜18:00）と案内されています。

予約サイト・会員基盤を運営する企業が確認したい5つの項目

今回の事案は、単一の侵入経路だけでなく、過去の残存ログや暗号化鍵の保管方法など、多くの企業が直面しやすい課題を浮き彫りにしています。

1. 決済代行移行前などの「過去のログファイル」が残存していないか

本番データベースでクレジットカード情報の非保持化（トークン化）を完了していても、過去のデバッグログ、変更履歴ログ、移行前のバックアップファイルに平文やそれに近い状態でカード情報が残っているケースが少なくありません。サーバー内のログや古いファイルを棚卸しし、不要なデータを完全削除する運用が不可欠です。

2. 暗号化データと復号鍵（設定ファイル）を同一サーバーに置いていないか

データベース内のパスワードや外部連携資格情報を暗号化していても、同じサーバー内のソースコードや環境変数、設定ファイルに復号鍵が平文で配置されていると、サーバー侵害時に両方とも奪われ復号されてしまいます。鍵管理サービス（KMS）の利用や権限分離が必要です。

3. 業務管理システムや管理画面の脆弱性・露出を点検しているか

顧客向けの予約画面だけでなく、社内や委託先が利用する業務管理システムがインターネットに公開されている場合、攻撃者の格好の標的となります。管理系システムへのIP制限、多要素認証、定期的な脆弱性診断を徹底します。

4. 予約照会機能の認可制御（IDOR）を検証しているか

バス予約や宿泊予約などの照会画面で、予約番号やURLパラメータを推測・変更するだけで他者の予約情報が閲覧できてしまう不備（オブジェクトレベルの認可不備）は、自動診断ツールだけでは見落とされがちです。手動によるペネトレーションテストで業務ロジックを確認することが重要です。

5. インシデント初動時に「保有データの全量把握」ができるか

第1報で「保有していないため流出はない」と発表した後に過去ログから流出が判明すると、利用者や市場からの信頼に大きな影響が及びます。日頃からシステム内のどこにどのようなログ・個人情報が保存されているかのデータマッピングを整備しておくことが求められます。

予約サイト・決済連携システムの安全性を確認したい企業へ

大規模な会員基盤や予約システムを運用する企業では、本番データベースだけでなく、業務管理画面、API、外部サービス連携、そしてサーバー内の残存ログまで含めた包括的なセキュリティ点検が重要です。

• Webアプリセキュリティ診断 — 予約サイト、会員マイページ、業務管理画面の脆弱性と認可制御を診断
• ペネトレーションテスト — 攻撃者の視点でサーバー侵入から重要データ・残存ログへの到達可能性を検証
• 脆弱性診断 — 公開サーバーや管理システムの既知の脆弱性・設定不備を網羅的に確認
• セキュリティマネジメント支援 — データ棚卸し、ログ管理規定、インシデント対応体制の整備を支援

現在のシステム構成でどこにリスクが潜んでいるか整理したい場合は、お気軽にご相談ください。

よくある疑問

Q. skyticketの不正アクセスで何件の個人情報が流出しましたか？

A. 自社サーバーへの不正アクセスにより最大約1,464万件（うちログインパスワードを含むもの約413万件）の顧客情報が流出したほか、第2報で最大6,140人分のクレジットカード情報、業務管理システムで約17,780件、バス予約システムで約12,000件の影響が公表されています。

Q. クレジットカード情報が流出したのはどのような利用者ですか？

A. 2017年2月から2018年6月の間に、有料会員サービス「skyticket プレミアム」の会費支払いのためにクレジットカードを登録・利用した最大6,140人の方が対象です。カード番号、名義人名、有効期限が含まれますが、セキュリティコードは含まれていません。

Q. なぜ当初「流出していない」とされていたクレジットカード情報が第2報で判明したのですか？

A. 現在は決済代行会社を利用してカード情報を非保持化していましたが、移行前（2018年6月以前）の「skyticket プレミアム」会費支払いに関するカード変更履歴（ログ）がサーバー内に削除されず残存しており、そこから流出していたことがその後の調査で判明したためです。

Q. パスワードや外部サービス（ベネフィット・ステーション）の情報も流出しましたか？

A. 約413万件のログインパスワード（暗号化・ハッシュ化済み）に加え、skyticketプレミアム会員向けに提供していた「ベネフィット・ステーション」の会員ID・氏名・パスワードが流出したと発表されています。ベネフィット・ステーションのパスワードは暗号化に用いる情報も同時に取得された可能性があるため、速やかな変更が呼びかけられています。

Q. skyticketの利用者は今すぐ何をすべきですか？

A. パスワードの変更（他サイトでの使い回し変更を含む）、クレジットカード利用明細の確認、そしてskyticketを装ったフィッシングメールやSMSへの警戒を行ってください。

Q. 本件に関するskyticketの問い合わせ窓口はどこですか？

A. 専用窓口としてメールアドレス info@skyticket.com（受付時間：毎日10:00〜18:00）が案内されています。

まとめ

総合旅行予約サイト「skyticket」を運営する株式会社アドベンチャーにおいて複数の不正アクセス等が発生し、最大約1,464万件の顧客情報と、過去の残存決済ログから最大6,140人分のクレジットカード情報等が流出しました。

利用者はパスワードの変更やカード明細の確認を行うとともに、登録情報を悪用したなりすまし連絡に十分注意してください。また、Webサービス運営企業にとっては、決済代行移行前の古いログの完全削除や暗号化鍵の分離保管の重要性を示す事案といえます。

参考情報

• 株式会社アドベンチャー／skyticket「不正アクセスによる個人情報流出に関するお詫びとお知らせ」

関連ページ

• Webアプリセキュリティ診断 — 予約サイト・業務管理画面・APIの脆弱性と権限設定を診断
• ペネトレーションテスト — 攻撃者の視点で重要データや残存ログへの到達可能性を検証
• 脆弱性診断 — 公開システムやサーバーの脆弱性・設定不備を幅広く確認
• セキュリティマネジメント支援 — ログ・データ管理体制の整備とインシデント対応を支援